FTP serveriga boradigan yo'lda VPN himoyasi qayerda tugaydi

VPN bir yo'lni himoya qiladi, har bir yo'lning esa oxiri bor. Tunnel kompaniya shlyuzida tugaganda, fayl uzatish o'sha joydan o'z protokoli taqdim etadigan himoya ostida davom etadi. Bu farq uzatishning boshidan oxirigacha himoyalanganligini yoki faqat shlyuzgacha ekanini belgilaydi. Connected ko'rsatkichi ikkalasi haqida ham hech narsa demaydi.

Ikki joylashuv, ikki qolgan yo'l

Kompaniya VPNiga ulanadigan va keyin alohida ichki serverga FTP seansi ochadigan noutbukni oling. Tunnel shlyuzda to'xtaydi, shlyuzdan o'sha servergacha bo'lgan qism esa uning tashqarisida qoladi.

Oddiy FTP paketlari tunnel orqali kelgani uchun shifrlashga ega bo'lmaydi. O'sha qolgan qismda buyruqlar, hisob ma'lumotlari va fayl mazmuni protokol belgilaganidek, ya'ni ochiq holda harakatlanadi. Bu muhimmi yoki yo'qmi, topologiya va bu qismni yana nima qo'riqlashiga bog'liq, manzilni maxfiy deb atash esa savolga javob bermaydi. Xuddi shu mulohaza server shlyuz yana bir sakrash bilan yetib boradigan bulut tarmog'ida bo'lganda ham teskari yo'nalishda amal qiladi.

VPN tugash nuqtasi va FTP xizmatini bitta mashinaga qo'ying, shunda tashvishlanadigan keyingi qism qolmaydi. Bu boshqa joylashuv, xost jarayonlari, fayllari va hisob ma'lumotlari xavfsiz degan dalil emas.

Oddiy FTP, FTPS va SFTP uchta qaror

Oddiy FTP hech narsani, hatto parolni ham shifrlamaydi. FTPS FTPga TLS qo'shadi, shuning uchun boshqaruv kanali va kelishilganda ma'lumot kanali himoyalanadi. SFTP — SSH ichida tashiladigan boshqa protokol, u FTPSning boshqa yozilishi emas.

Server bu tanlovni qo'llab-quvvatlashi kerak, chunki mijoz mavjud bo'lmagan tinglovchini o'ylab topa olmaydi. SFTP tanlash faqat FTP bilan ishlaydigan xizmatni SSH tugash nuqtasiga aylantirmaydi, xatcho'p nomini o'zgartirish yoki portni almashtirish kelishilgan narsa haqida hech narsani isbotlamaydi. Protokolni mijoz tomonidan ham, server tomonidan ham tasdiqlang. Fayl menejeridagi qulf sessiya haqidagi da'vo, uning orqasidagi tinglovchi haqida emas.

Uzatish muhim bo'lganda oxirgi ustunni o'qing, chunki kutilmagan shaxs o'zgarishi aynan o'sha yerda ko'rinadi.

Ma'lumot ulanishi ikkinchi ulanish

FTP boshqaruv ulanishini, so'ngra ro'yxatlar va uzatishlar uchun alohida ma'lumot ulanishlarini ochadi. Himoyalangan kirish o'sha keyingi ulanishlar haqida hech narsa demaydi, agar joylashtirish ular uchun ham himoya talab qilmasa.

FTPSda mijoz muayyan buyruq orqali himoyalangan ma'lumot kanalini so'raydi, server siyosati esa ochiq muqobilni rad etishi mumkin. Mijozning standart qiymati yetarli deb o'ylash o'rniga siyosat buni talab qilishini tekshiring. Passiv rejim ikkinchi qiyinchilikni qo'shadi, chunki server ma'lumot ulanishi uchun manzil va port e'lon qiladi. Bu e'lonni qayta yozadigan yoki bloklaydigan xavfsizlik devori yoki NAT qurilmasi autentifikatsiyadan o'tib, keyin birinchi ro'yxatda osilib qoladigan sessiya hosil qiladi.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Ikkinchi buyruq har qanday faylga tegishdan oldin server boshqaruv kanalida nimani taqdim etishini ko'rsatadi. Uchinchisi ma'lumot ulanishi umuman o'rnatilganini ko'rsatadi, bu autentifikatsiya xatosi va passiv rejim xatosi o'rtasidagi farq.

Shaxs tekshiruvlari tunneldan omon qoladi

FTPS mijozi TLS serverining shaxsini tasdiqlaydi, SFTP mijozi esa SSH xost kalitini tasdiqlaydi. Ikkala tekshiruv ham fayl uzatish protokoliga tegishli, hech birini VPN bajarmaydi.

Bu ajratish o'rtadagi biror narsa sessiyani tekshirmoqchi bo'lganda muhim. Tarmoq qurilmasi buyruqlarni o'qiy olishi uchun TLSni o'chirish himoya modelini to'ldirish o'rniga o'zgartiradi, tunnel ko'tarilgani uchun tushuntirilmagan xost kalitini qabul qilish ham xuddi shunday. Mo'ljallangan ishonch konfiguratsiyasini saqlang va to'g'ri materialni operatoridan oling. Autentifikatsiyadan o'tadigan tunnel o'zining uzoq chekkasidagi server haqida hech narsa demaydi.

Bu protokollar uchun shaxsiy kalit va sertifikat materiali VPN hisob ma'lumotlaridan alohida yana uchinchi sir.

Haqiqatan nimani tekshirganingizni yozib qo'ying

Ko'chirishga ruxsatingiz bo'lgan zararsiz faylni tanlang va urinish haqida to'rt faktni yozing: qaysi protokol ishladi, qarshi tomonning qaysi shaxsi tekshirildi, qaysi yo'l mo'ljallangan edi va uzatish tugadimi.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Katalog ro'yxati, tunnelga kirish va tugagan uzatish uchta alohida kuzatuv, yo'l fayllar uchun ishlashini faqat oxirgisi aytadi. Agar dizayn qolgan sakrashdagi maxfiylik uchun faqat VPNga tayansa, uni o'sha qaror sifatida yozing. Sakrash va uning ishonch taxminini nomlaydigan qabul yozuvi ulangan mijozning ekran suratidan qimmatroq.